1인 개발자에게 보안이 어려운 이유
1인 개발자의 현실은 이렇습니다. 기획, 개발, 디자인, 마케팅, CS까지 혼자 다 합니다. 보안은 항상 "나중에"로 밀립니다. 그런데 공격자는 기다려 주지 않습니다. 오히려 1인 사이트를 더 쉬운 먹이로 봅니다. 보안 전담 인력이 없다는 걸 알기 때문입니다.
다행히 보안은 돈을 많이 써야 해결되는 문제가 아닙니다. 기본 설정 몇 가지와 무료 도구만으로 웬만한 공격은 막을 수 있습니다. 이 글은 1인 개발자가 실제로 실행할 수 있는 것들만 모았습니다.
1단계: 인프라 기본 설정 (1일 소요)
방화벽 설정
AWS EC2 기준으로 Security Group에서 필요한 포트만 열어 두세요. 웹 서비스라면 80, 443만 전체 오픈하고, SSH(22)는 내 IP만 허용합니다. DB 포트는 절대 외부에 열지 않습니다.
# 현재 열린 포트 확인 (Linux)
ss -tlnp
# 불필요한 서비스 예시 (실제 서비스명으로 교체)
# systemctl disable apache2
# systemctl disable bluetooth
SSH 보안
- 패스워드 로그인 비활성화, SSH 키 인증만 허용
- 기본 포트(22) 변경 (예: 2222)
- root 로그인 비활성화
- fail2ban 설치로 브루트포스 차단
2단계: 애플리케이션 보안 (1~2일 소요)
환경 변수 관리
DB 비밀번호, API 키, 시크릿 키는 절대 코드에 하드코딩하지 않습니다. .env 파일로 관리하고 반드시 .gitignore에 등록하세요. GitHub에 실수로 올라갔다면 즉시 키를 재발급해야 합니다.
의존성 취약점 점검
사용 중인 라이브러리에 알려진 취약점이 있는지 주기적으로 확인하세요. 무료 도구로 할 수 있습니다.
# Python 프로젝트
pip install pip-audit
pip-audit
# Node.js 프로젝트
npm audit
npm audit fix
입력 검증과 출력 인코딩
사용자 입력은 무조건 의심해야 합니다. 서버 사이드에서 타입, 길이, 형식을 검증하고, DB 쿼리는 ORM이나 파라미터 바인딩을 사용합니다. 사용자가 입력한 값을 HTML에 출력할 때는 반드시 이스케이프 처리합니다.
3단계: 모니터링 (반나절 설정)
무료로 쓸 수 있는 모니터링 도구
- UptimeRobot (무료): 5분 간격으로 사이트 접속 확인. 다운 시 이메일/슬랙 알림
- GitHub Dependabot (무료): 저장소의 의존성 취약점 자동 감지 및 PR 생성
- Cloudflare (무료 플랜): DDoS 방어, 봇 차단, WAF 기본 기능 제공
로그 모니터링
웹 서버 접근 로그에서 비정상 패턴을 주기적으로 확인하세요. 짧은 시간에 같은 IP에서 수백 개의 요청이 오거나, 존재하지 않는 관리자 경로에 접근 시도가 반복되면 공격 신호입니다.
4단계: 정기 점검 (월 1회)
아무리 잘 설정해도 시간이 지나면 새로운 취약점이 생깁니다. 월 1회 정도는 사이트를 외부에서 점검하는 것이 좋습니다.
- SSL 인증서 만료일 확인
- 보안 헤더 설정 검증
- 알려진 취약점(CVE) 노출 여부 확인
- 사용하지 않는 계정, API 키 정리
CodeScan에서 URL을 입력하면 이런 항목들을 한 번에 점검하고 등급으로 보여줍니다. 월 1회 돌려보는 것을 루틴으로 만들면 대부분의 기본 취약점은 빠르게 잡을 수 있습니다.
결론: 완벽한 보안보다 일관된 점검
1인 개발자가 대기업 수준의 보안을 구축할 수는 없습니다. 그럴 필요도 없습니다. 목표는 "쉬운 먹이"가 되지 않는 것입니다. 기본 설정을 갖추고, 정기적으로 점검하고, 알림을 받아서 빠르게 대응하는 것. 이것만으로도 대부분의 자동화된 공격은 막을 수 있습니다.
오늘 당장 할 수 있는 것부터 시작하세요. 방화벽 설정과 보안 헤더 추가로 시작해서 하나씩 쌓아가면 됩니다.